Após 11 meses de desenvolvimento, o consórcio ISC lança a primeira versão estável de um novo ramo significativo do servidor DNS BIND 9.16. O suporte para o ramo 9.16 será mantido por três anos até o segundo trimestre de 2023, como parte de um ciclo de suporte ampliado. Atualizações para a antiga versão LTS 9.11 continuarão a ser lançadas até dezembro de 2021. O suporte para o ramo 9.14 será encerrado em três meses.
Principais :
- Foi adicionado o KASP (Key and Signing Policy), uma maneira simplificada de gerenciar chaves e assinaturas digitais do DNSSEC, baseada na definição de regras especificadas pela diretiva ‘dnssec-policy’. Esta diretiva permite configurar a geração de novas chaves necessárias para zonas DNS e a aplicação automática das chaves ZSK e KSK.
- A subsistema de rede foi significativamente reformulada, migrando para um mecanismo de processamento assíncrono de solicitações, implementado com base na biblioteca .
A reformulação ainda não resultou em mudanças visíveis, mas nas próximas versões permitirá a implementação de otimizações de desempenho significativas e a adição de suporte a novos protocolos, como DNS sobre TLS. - O processo de gerenciamento de âncoras de confiança do DNSSEC foi aprimorado (Trust anchor, âncora de confiança vinculada à zona de chave pública para verificar a autenticidade dessa zona). Em vez das configurações trusted-keys e managed-keys, que agora estão obsoletas, foi proposta uma nova diretiva trust-anchors, permitindo gerenciar ambos os tipos de chaves.
Ao usar trust-anchors com a palavra-chave initial-key, o comportamento dessa diretiva é idêntico ao managed-keys, ou seja, define a configuração de âncora de confiança de acordo com o RFC 5011. Ao usar trust-anchors com a palavra-chave static-key, o comportamento corresponde à diretiva trusted-keys, ou seja, define uma chave permanente que não é atualizada automaticamente. Também em trust-anchors, duas palavras-chave adicionais initial-ds e static-ds são oferecidas, permitindo o uso de âncoras de confiança no formato (Delegation Signer) em vez de DNSKEY, que proporciona a configuração de âncoras para chaves ainda não publicadas (no futuro, a organização IANA planeja usar o formato DS para chaves de zonas raiz).
- Nos utilitários dig, mdig e delv, foi adicionada a opção ‘+yaml’ para a saída no formato YAML.
- No utilitário dig, foi adicionada a opção ‘+[no]unexpected’, que permite a aceitação de respostas de hosts diferentes do servidor ao qual a solicitação foi enviada.
- A opção «+[no]expandaaaa» foi adicionada à ferramenta dig, com a qual os endereços IPv6 nos registros AAAA são exibidos em sua representação completa de 128 bits, em vez do formato RFC 5952.
- Agora é possível alternar grupos de canais de estatísticas.
- Os registros DS e CDS agora são gerados apenas com base em hashes SHA-256 (a geração com base em SHA-1 foi descontinuada).
- Para o DNS Cookie (RFC 7873), o algoritmo SipHash 2-4 é usado por padrão, enquanto o suporte ao HMAC-SHA foi descontinuado (AES foi mantido).
- A saída dos comandos dnssec-signzone e dnssec-verify agora é direcionada para a saída padrão (STDOUT), enquanto que informações sobre erros e avisos são enviadas para STDERR (com a opção «-f», a zona assinada também é exibida). Para silenciar a saída, foi adicionada a opção «-q».
- O código de validação DNSSEC foi reestruturado para eliminar a duplicação de código com outras subsistemas.
- Agora, apenas a biblioteca JSON-C pode ser usada para a exibição de estatísticas em formato JSON. A opção de configuração «—with-libjson» foi renomeada para «—with-json-c».
- No script configure, o parâmetro «—sysconfdir» não é mais definido por padrão como /etc, e «—localstatedir» como /var, a menos que o parâmetro «—prefix» seja especificado. Agora, os caminhos $prefix/etc e $prefix/var são usados por padrão, conforme aplicado no Autoconf.
- O código que implementava o serviço DLV (Domain Look-aside Verification, opção dnssec-lookaside), que foi declarado obsoleto no BIND 9.12, foi removido, e o manipulador associado dlv.isc.org foi desligado em 2017. A remoção do DLV permitiu simplificar o código do BIND.
Fonte: opennet.ru
